Pedidos de acesso costumam chegar como “dá para liberar o CRM para a Camila?” no chat. A TI libera, ninguém anota por quê nem com qual nível, e um ano depois ninguém sabe explicar por que um ex-estagiário ainda é administrador do sistema financeiro.
Este modelo pede os detalhes logo no início: se o acesso é para o próprio solicitante ou para outra pessoa, o sistema (ERP, CRM, sistema financeiro, sistema de RH, servidor de arquivos, BI e relatórios ou outro), o nível de acesso (somente leitura, leitura e edição ou administrador), uma data de término opcional e a justificativa. O gestor confirma que a pessoa precisa do acesso para a função. Acesso de administrador ganha uma aprovação de segurança, em que o responsável define quando revisar o acesso, de 30 dias a 1 ano, e anota riscos e restrições. A TI então cria o acesso e registra o usuário e a data, nunca a senha, e o solicitante confirma que está funcionando. As aprovações e a liberação têm prazo de um dia útil cada.
Serve para equipes de TI pequenas em empresas que precisam registrar quem tem acesso a quê, seja para uma auditoria, para o questionário de segurança de um cliente, para mostrar cuidado com a LGPD ou para a própria tranquilidade.